วิธีตรวจสอบเว็บไซต์ Joomla ว่าถูกแฮ็กหรือยัง

ตรวจสอบว่าเว็บไซต์ Joomla อาจถูกแฮ็กหรือไม่ โดยเทียบอาการผิดปกติ ตรวจบัญชีผู้ดูแลและไฟล์ที่เปลี่ยนแปลง แล้วดู Log จาก Joomla และโฮสติ้งร่วมกัน อาการอย่างเดียวอาจยังยืนยันการถูกแฮ็กไม่ได้ แต่ถ้าพบหลายอย่างพร้อมกันควรรีบตรวจสอบและเก็บข้อมูลก่อนแก้ไข

❶ สังเกตอาการผิดปกติบนเว็บไซต์

① ตรวจหน้าเว็บและผลการค้นหา

เปิดหน้าแรกและหน้าสำคัญจากอุปกรณ์หรือเครือข่ายอื่น สังเกตหน้าเว็บที่ถูกเปลี่ยน เนื้อหาที่ไม่รู้จัก โฆษณาแปลกปลอม หรือการเปลี่ยนเส้นทางไปเว็บไซต์อื่น

② ตรวจการแจ้งเตือนจากโฮสติ้งและเบราว์เซอร์

ตรวจอีเมลจากโฮสติ้ง รวมถึงคำเตือนจากเบราว์เซอร์หรือบริการตรวจสอบเว็บไซต์ หากพบว่ามีไฟล์อันตรายหรือเว็บถูกจำกัดการเข้าถึง ให้เก็บข้อความแจ้งเตือนไว้

③ ตรวจบัญชีและการเปลี่ยนแปลงที่ไม่ได้ทำเอง

สังเกตบัญชีผู้ดูแลใหม่ การเปลี่ยนรหัสผ่าน การแก้เนื้อหา หรือการตั้งค่าที่ไม่มีผู้รับผิดชอบ หากพบรายการที่ไม่รู้จัก ให้บันทึกรายละเอียดก่อนเปลี่ยนแปลง

❷ ตรวจบัญชีผู้ใช้ Log และไฟล์

① ตรวจบัญชี Administrator และ Super Users

ไปที่รายการผู้ใช้ในหลังบ้าน แล้วตรวจบัญชีที่มีสิทธิ์สูง ยืนยันว่าเป็นบัญชีของผู้ดูแลจริง ตรวจอีเมล กลุ่ม และสถานะของบัญชี

② ตรวจ Joomla Log และ Server Log

ดูไฟล์ Log ของ Joomla ตาม Path to Log Folder และตรวจ access log หรือ error log จากโฮสติ้ง สังเกตคำขอซ้ำไปยังไฟล์ที่ไม่คุ้นเคย เวลาที่ตรงกับอาการ หรือข้อผิดพลาดที่เริ่มเกิดขึ้นโดยไม่มีสาเหตุชัดเจน

③ ตรวจไฟล์ที่เพิ่งถูกเพิ่มหรือแก้ไข

สอบถามโฮสติ้งว่ามีเครื่องมือตรวจไฟล์เปลี่ยนแปลงหรือไม่ เปรียบเทียบไฟล์กับแพ็กเกจ Joomla และส่วนเสริมจากแหล่งที่เชื่อถือได้ อย่าลบไฟล์ที่น่าสงสัยทันที เพราะอาจต้องใช้ตรวจสอบสาเหตุ

❸ ประเมินว่าพบการบุกรุกจริงหรือไม่

① เทียบเหตุการณ์กับการเปลี่ยนแปลงล่าสุด

ตรวจว่ามีการติดตั้งส่วนเสริม อัปเดตระบบ หรือแก้ไขไฟล์ในช่วงเดียวกับที่เริ่มพบปัญหาหรือไม่ การเปลี่ยนแปลงที่ถูกต้องอาจทำให้เกิดข้อผิดพลาดคล้ายการโจมตีได้

② ตรวจส่วนเสริมที่มีช่องโหว่

ทำรายการชื่อและเวอร์ชันส่วนเสริมที่ติดตั้ง แล้วตรวจประกาศความปลอดภัยของผู้พัฒนาและ Joomla หากพบรุ่นที่ได้รับผลกระทบ ให้ทำตามคำแนะนำที่เกี่ยวข้อง

③ ขอให้โฮสติ้งช่วยตรวจหลักฐาน

ส่งช่วงเวลา URL ข้อความผิดพลาด และชื่อไฟล์ที่พบให้ผู้ให้บริการโฮสติ้งช่วยตรวจ Log และสถานะเซิร์ฟเวอร์ หากไม่แน่ใจว่าเหตุใดจึงเกิดขึ้น ควรให้ผู้เชี่ยวชาญตรวจทั้งไฟล์และฐานข้อมูล

❹ ทำอย่างไรเมื่อสงสัยว่าถูกแฮ็ก

① เก็บข้อมูลก่อนแก้ไข

บันทึกภาพหน้าจอ ข้อความแจ้งเตือน รายชื่อบัญชีแปลกปลอม และ Log ที่เกี่ยวข้อง อย่าเปิดเผยข้อมูลระบบหรือไฟล์ Log ต่อสาธารณะ

② จำกัดความเสียหายและเปลี่ยนรหัสผ่าน

ติดต่อโฮสติ้งเพื่อช่วยจำกัดการเข้าถึง หากยังเข้าใช้งานได้ ให้เปลี่ยนรหัสผ่านผู้ดูแลและบัญชีโฮสติ้งจากอุปกรณ์ที่ปลอดภัย แล้วตรวจบัญชีผู้ใช้ที่มีสิทธิ์สูงทั้งหมด

③ อย่ากู้คืนจากแบ็กอัปโดยไม่ตรวจสอบ

แบ็กอัปที่สร้างหลังเริ่มถูกเจาะอาจมีไฟล์อันตรายอยู่แล้ว ให้ตรวจวันที่และความน่าเชื่อถือของชุดสำรองก่อนกู้คืน และขอความช่วยเหลือหากไม่สามารถระบุจุดเริ่มต้นของเหตุการณ์ได้

ComSiam แนะนำให้เก็บ Log และข้อมูลที่พบไว้ก่อนลบไฟล์หรือกู้คืนเว็บไซต์ เพื่อช่วยหาสาเหตุและลดโอกาสที่ผู้บุกรุกจะกลับเข้ามาอีก

หากยืนยันว่ามีการเข้าถึงโดยไม่ได้รับอนุญาต ให้ตรวจทั้งบัญชี ไฟล์ ฐานข้อมูล และส่วนเสริม ไม่แก้เฉพาะหน้าเว็บที่มองเห็น ComSiam แนะนำให้ประสานโฮสติ้งหรือผู้เชี่ยวชาญเมื่อไม่แน่ใจว่าระบบสะอาดแล้ว